a un eventuel controle sur place de la cnil - L'Afcdp

7. Les agents vous présentent leur lettre de missionLa décision du Président de la CNIL est notifiée au début du contrôle au responsable des lieux où se situent lestraitements qui font l’objet des vérifications.Pour ce faire, les agents de la CNIL doivent présenter leur lettre de mission, signée 49 du Président de laCommission.Figure 15 : Copie d’un ordre de missionCette lettre de mission comprend les informations suivantes ;• date du contrôle ;• lieu du contrôle ;• objet du contrôle ;• liste des personnes habilitées chargées de ce contrôle etleur fonction au sein de la CNILLa lettre de mission est rarement précise. Lors du contrôle, lesagents peuvent avoir pour consigne de ne pas répondre à toutequestion quant à la genèse de leur mission et son périmètre, ceciafin de ne pas se retrouver « limités » dans leur démarche (avec unordre de mission trop précis, une infraction découverte « parhasard » à l’occasion du contrôle, mais située hors du champindiqué, risquerait d’échapper à toute sanction).D’après les entreprises ayant subi un contrôle que le groupe detravail a pu auditionner, cette lettre de mission indique égalementrarement la raison (genèse).Pour cette raison, il est indispensable de commencer par discuter avec les agents (« Nous serons mieux à mêmede vous aider si vous nous indiquez ce que vous cherchez »), afin• d’obtenir le plus d’informations possibles sur les raisons de ce contrôle 50• de sélectionner les bons interlocuteurs en face des agents chargés du contrôle• de restreindre au seul périmètre détecté les informations qui vont être présentéesExemple : Si, durant cette échange initial, vous détectez que la mission est focalisée sur le périmètre« Ressources Humaines », vous êtes à même de faire intervenir les personnes concernées et de faire préparer unPC doté des droits d’accès à ce seul périmètre.Naturellement, les agents peuvent prendre toute initiative lors de leur mission et élargir le champ de leursinvestigations. Ainsi, durant un contrôle focalisé sur les fichiers Ressources Humaines, les agents ont égalementcherché à détecter la présence d’outils de traçabilité (Contrôle de l’activité du salarié ; accès Web, contrôle de lamessagerie, etc.).Durant cet entretien initial, on n’hésitera pas à vérifier que les agents ont une bonne connaissance de l’entreprise,de son organisation et de ses métiers. Une entreprise contrôlée a eu la mauvaise surprise de s’apercevoir qu’elleétait identifiée à tort comme soumise à Sarbanes-Oxley.Une entreprise condamnée à une sanction pécuniaire suite à un contrôle et ayant présenté un recours devant leConseil d’Etat, soutenait que « seule la Commission nationale de l'informatique et des libertés (CNIL) estcompétente pour diligenter une mission de contrôle et non son président ». Elle a été déboutée. Dans la note dedécision, on relève que « le président de la CNIL est compétent pour diligenter une mission de contrôle ».49 Comment, dans la réalité, valider ce point ? 1) cela voudrait dire fournir un exemplaire de la signature au personnel d’accueil et surtoutne pas oublier de les prévenir quand il y aura un changement de président…50 Il semble que le contrôle soit la seule réelle opportunité de recueillir auprès de la CNIL quelques informations concernant ce contrôle(dont la genèse et le périmètre) : après, c’est trop tard.Page 42 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net